CRA 网络安全风险评估
Sytance · 更新于
CRA 网络安全风险评估说明产品面临哪些风险、适用哪些安全要求，以及如何通过设计和持续维护降低风险。评估应基于预期用途、合理可预见的使用、运行环境和需要保护的资产，并纳入技术文档。
风险评估的作用
为遵守第 1 款，制造商应评估与含数字要素产品有关的网络安全风险，并在该产品的规划、设计、开发、生产、交付和维护阶段考虑评估结果，以尽可能降低网络安全风险、防止事件发生并尽可能减轻事件影响，包括对用户健康和安全的影响。
英文原文：
For the purpose of complying with paragraph 1, manufacturers shall undertake an assessment of the cybersecurity risks associated with a product with digital elements and take the outcome of that assessment into account during the planning, design, development, production, delivery and maintenance phases of the product with digital elements with a view to minimising cybersecurity risks, preventing incidents and minimising their impact, including in relation to the health and safety of users.欧盟条例 (EU) 2024/2847, 第 13 条第 2 款（中文为非官方译文；英文为原文）
第 13 条要求风险评估贯穿产品生命周期，并在支持期内按需要更新。产品设计或相关风险发生变化后，原有结论也需要复核。
风险评估需要说明什么
按照第 13 条第 3 款，评估必须考虑预期用途、合理可预见的使用、使用条件、运行环境、需要保护的资产，以及预期使用时间。
- 哪些附件 I 第一部分要求适用于该产品；
- 产品如何实现这些要求；
- 如何根据产品风险满足附件 I 第一部分第 (1) 项的一般网络安全要求；
- 附件 I 第二部分的漏洞处理要求如何适用；
- 如果制造商认为某项要求不适用，理由是什么。
示例：评估固件更新路径
以一款从更新服务接收固件的虚构联网控制器为例。攻击者可能尝试在安装前替换固件映像。评估需要确认这种攻击能否成立，以及被修改的固件能够执行哪些操作。
- 明确该控制器型号与固件版本的更新路径：谁可以提供映像、映像如何到达控制器，以及安装前会进行哪些检查。
- 描述威胁：攻击者在安装前替换固件映像，破坏可执行代码的完整性。评估后果时，需要分析被篡改的代码能改变控制器的哪些功能。
- 分析现有控制：确认固件在何处验证、信任哪些签名密钥，以及验证失败后的行为。仅有设计说明，不能证明发布版本确实如此运行。
- 验证安全措施：保留已确认的更新设计，以及针对篡改映像、错误签名和失败恢复的测试记录，并注明被测固件版本与配置。
- 根据攻击条件和预期后果，说明采取措施后还存在哪些风险。列明尚待确认的假设和需要补充的措施。更新机制或威胁变化时，复核原有结论。
数据流图（DFD）和 STRIDE 可以帮助识别攻击路径。风险判断仍需依据产品的实际情况和验证结果。例如，将签名校验作为降低风险的措施前，应与设计资料和被测固件的行为核对。
与技术文档的关系
第 13 条第 4 款要求将网络安全风险评估纳入技术文档。附件 VII 进一步要求评估说明，产品在设计、开发、生产、交付和维护中需要应对哪些网络安全风险。
分析范围
说明评估涉及的产品版本、运行条件，以及攻击可能影响哪些功能或资产。
安全措施
说明哪些措施用于处理相应风险，以及如何检查措施是否有效。
生命周期更新
产品变更、新漏洞、新证据和支持期变化可能触发重新评估。
证据文件
评估结论纳入技术文档，作为合格评定的依据。
标准的作用
草案 prEN 40000-1-2 的专题页介绍了适用于不同产品类别的网络弹性风险管理原则。该草案可用于安排评估工作，法律义务仍以第 13 条和附件 I 为准。